Nach einem Cyberangriff auf einen bundesweit tätigen Hotel-Softwareanbieter sind umfangreiche Daten von Hotelgästen abgeflossen. Betroffen sind nach Angaben des Landesdatenschutzbeauftragten Mecklenburg-Vorpommern unter anderem Namen, Anschriften und Informationen zu Buchungen. Bank- und Zahlungsdaten sollen nach bisherigem Kenntnisstand nicht gestohlen worden sein. Dennoch besteht eine konkrete Gefahr: Kriminelle verwenden die erbeuteten Angaben bereits für glaubwürdig wirkende Phishing-Nachrichten.

Welche Hotels in Schwerin die betroffene Software einsetzen und wie viele Gäste aus der Landeshauptstadt betroffen sind, wurde bislang nicht öffentlich mitgeteilt. Die Datenschutzbehörde spricht jedoch von einem bundesweit verbreiteten System und einer voraussichtlich hohen Zahl betroffener Beherbergungsbetriebe.

Komplette Datenbanken einzelner Hotels abgeflossen

In den vergangenen Tagen gingen beim Landesbeauftragten für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern vermehrt Meldungen von Hotels ein. Nach dem derzeitigen Ermittlungsstand sollen bei den betroffenen Häusern jeweils vollständige Gästedatenbanken entwendet worden sein.

Zu den möglicherweise betroffenen Informationen gehören:

  • Vor- und Nachnamen,
  • private Anschriften,
  • E-Mail-Adressen und Kontaktdaten,
  • Buchungszeiträume,
  • Angaben zum gebuchten Hotel,
  • weitere Informationen rund um den Aufenthalt.

Bank-, Kreditkarten- und andere unmittelbare Zahlungsdaten seien nach aktuellem Stand nicht Teil des Datenabflusses. Eine endgültige Entwarnung ist damit trotzdem nicht verbunden. Die Kombination aus Namen, Reiseziel und Buchungsinformationen ermöglicht besonders überzeugende Betrugsversuche.

„Nach aktuellem Kenntnisstand sind die kompletten Datenbanken der betreffenden Hotels abgeflossen.“

Das teilte der Datenschutzbeauftragte Mecklenburg-Vorpommerns, Sebastian Schmidt, mit.

Betrüger kennen Hotel und Buchungsdetails

Mit den gestohlenen Daten verschicken Kriminelle bereits Nachrichten, die scheinbar von einem gebuchten Hotel stammen. Darin können sie den richtigen Namen des Gastes, den Reisezeitraum oder das tatsächlich reservierte Haus nennen.

Dadurch wirken die Mitteilungen glaubwürdiger als gewöhnliche massenhaft versandte Phishing-Mails. Typische Aufforderungen lauten etwa:

  • eine Buchung müsse erneut bestätigt werden,
  • eine Zahlung sei fehlgeschlagen,
  • Kreditkartendaten müssten aktualisiert werden,
  • es fehle eine Anzahlung,
  • eine Reservierung werde ohne sofortige Zahlung storniert.

Häufig führen Links auf nachgebaute Internetseiten. Dort sollen Gäste Kreditkarteninformationen, Zugangsdaten oder persönliche Angaben eingeben. Möglich sind auch direkte Aufforderungen zu einer Überweisung.

Welche Schweriner Hotels betroffen sind, bleibt offen

Die Datenschutzbehörde nennt weder den angegriffenen Softwareanbieter noch einzelne betroffene Hotels. Deshalb lässt sich derzeit nicht belastbar feststellen, ob ein bestimmtes Haus in Schwerin betroffen ist.

Gäste sollten daraus keine pauschalen Verdächtigungen gegen einzelne Hotels ableiten. Zugleich sollten Reisende besonders aufmerksam sein, wenn sie nach einer Buchung unerwartete Nachrichten erhalten.

Betroffene Hotels sind nach der Datenschutz-Grundverordnung verpflichtet, einen relevanten Datenvorfall der zuständigen Aufsichtsbehörde zu melden. Besteht ein hohes Risiko für die persönlichen Rechte der Gäste, müssen diese grundsätzlich ebenfalls informiert werden.

Die Datenschutzbehörde empfiehlt ausdrücklich, sämtliche Betroffenen über den Abfluss ihrer Daten in Kenntnis zu setzen.

So prüfen Gäste eine verdächtige Nachricht

Wer eine vermeintliche Mitteilung seines Hotels erhält, sollte nicht auf darin enthaltene Telefonnummern, E-Mail-Adressen oder Links vertrauen. Sicherer ist es, die Kontaktdaten selbst über die offizielle Internetseite des Hotels oder die ursprüngliche Buchungsbestätigung aufzurufen.

Wichtig sind folgende Schritte:

  • keine Links aus unerwarteten Nachrichten öffnen,
  • keine Kreditkarten- oder Zugangsdaten eingeben,
  • keine spontane Überweisung ausführen,
  • Absenderadresse genau kontrollieren,
  • sprachliche und grafische Auffälligkeiten beachten,
  • das Hotel über eine unabhängig recherchierte Telefonnummer kontaktieren,
  • verdächtige Nachrichten sichern und melden.

Eine Nachricht kann auch dann betrügerisch sein, wenn sie korrekte Buchungsdaten enthält. Genau diese Angaben stammen möglicherweise aus dem gestohlenen Hotelbestand.

Der Datenschutzbeauftragte warnt deshalb davor, Zahlungen allein aufgrund einer zugesandten Mitteilung vorzunehmen.

Bereits zweiter Angriff innerhalb weniger Monate

Es handelt sich nicht um den ersten Vorfall dieser Art im Jahr 2026. Bereits im Februar hatte die Schweriner Datenschutzbehörde über einen Cyberangriff auf einen anderen bundesweit tätigen Hoteldatenbank-Anbieter informiert.

Auch damals waren Hotels und Pensionen in Mecklenburg-Vorpommern betroffen. Persönliche Buchungsdaten wurden gestohlen und konnten für Phishing verwendet werden. Der aktuelle Angriff richtet sich nach Angaben der Behörde gegen ein anderes Unternehmen.

Die Wiederholung zeigt eine grundsätzliche Schwachstelle der Branche: Viele Hotels speichern ihre Gästedaten nicht ausschließlich in eigenen Systemen, sondern verwenden zentrale Softwarelösungen externer Dienstleister. Wird ein solcher Anbieter erfolgreich angegriffen, können gleichzeitig zahlreiche Häuser betroffen sein.

Hotels bleiben für ausgelagerte Daten mitverantwortlich

Auch wenn der technische Angriff den externen Softwareanbieter trifft, können Hotels ihre Verantwortung nicht vollständig an den Dienstleister abgeben. Sie wählen das System aus und lassen dort die Daten ihrer Gäste verarbeiten.

Hotelbetreiber sollten nun unter anderem prüfen:

  • ob sie die betroffene Software nutzen,
  • welche konkreten Datensätze gespeichert wurden,
  • ob noch unbefugte Zugriffe möglich sind,
  • ob Passwörter und Zugänge geändert werden müssen,
  • welche Gäste informiert werden müssen,
  • ob Meldungen an Datenschutzbehörden erfolgt sind,
  • wie Mitarbeiter auf Rückfragen und Betrugsfälle reagieren.

Besonders wichtig ist eine klare Kommunikation. Gäste sollten erfahren, welche Daten betroffen sind, welche Daten nachweislich nicht abgeflossen sind und an wen sie sich bei verdächtigen Zahlungsaufforderungen wenden können.

Keine Zahlung ohne direkte Rückfrage

Für Gäste in Schwerin und Reisende, die ein Hotel in Mecklenburg-Vorpommern gebucht haben, besteht kein Grund zu Panik. Es gibt aber Anlass zu erhöhter Vorsicht.

Wer aktuell eine ungewöhnliche Nachricht zu einer Hotelreservierung erhält, sollte die Buchung nicht über den zugesandten Link bearbeiten. Stattdessen sollte das Hotel direkt über seine offizielle Telefonnummer kontaktiert werden.

Bankdaten sollen bei dem Angriff zwar nicht entwendet worden sein. Die gestohlenen Buchungsinformationen reichen jedoch aus, um Menschen zu einer freiwilligen Eingabe ihrer Zahlungsdaten zu verleiten.

Der eigentliche Schaden entsteht dann nicht durch das Datenleck allein, sondern durch die täuschend echte Nachricht, die darauf folgt.

Quellen und Datenbasis

  • Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern: Warnung vom 29. Juli 2026 zum Cyberangriff auf einen Hotel-Softwareanbieter und zu bereits bekannten Phishing-Versuchen.
  • Aktuelle Berichterstattung zu Umfang der gestohlenen Gästedaten und möglichen Folgen für Hotels und Reisende.
  • Landesdatenschutzbeauftragter Mecklenburg-Vorpommern: Warnung zum ersten vergleichbaren Angriff im Februar 2026.